Start/z/OS & RACF Audit

z/OS und RACF Audit

Die Plattform ist sicher — die Konfiguration entscheidet. Wir prüfen Berechtigungen und Systemintegrität in einer gemeinsamen Betrachtung und übersetzen die Befunde in die Sprache Ihrer Prüfer.

Warum

Das Risiko liegt selten dort, wo man es vermutet

Die spektakulären Befunde sind nicht die vergessenen Testbenutzer. Es sind die stillen Eskalationspfade: eine Zuständigkeitskette, über die sich ein Passwort zurücksetzen lässt. Ein Recht, unter fremder Kennung zu arbeiten. Ein Eintrag, der Zugriffe erlaubt und die Protokollierung umgeht.

Solche Pfade findet man nicht durch Draufsehen, sondern durch systematische Auswertung des Berechtigungsbestands gegen die tatsächlich beobachtete Nutzung. Deshalb prüfen wir beides gemeinsam: die Berechtigungen und die Systemgrundlage, auf der sie überhaupt wirken.

PrivilegienSonderrechte und ihre TrägerZugriffsschutzzu weite GrundeinstellungenUmgehungenZugriff ohne ProtokollierungSystemdiensteRechte technischer KennungenAutorisierungprivilegierte BibliothekenEingriffeeigene ErweiterungenUNIX-RechteSuperuser und DateisystemeAnmeldungPasswörter, MFA, ZertifikateAuswertung mit den Bordmitteln des Systems — jeder Befund bleibt reproduzierbar
Acht Prüffelder, die in nahezu jedem Audit Befunde liefern — die interessanten entstehen an ihren Schnittstellen.

Prüfungsumfang

Zwei Seiten derselben Frage

Ein Berechtigungsaudit ohne Blick auf die Systemintegrität prüft Türschlösser in einem Haus, dessen Wände man verschieben kann. Deshalb gehört beides zusammen.

Berechtigungen

  • Träger von Sonderrechten: Anzahl, Zuordnung, tatsächliche Nutzung
  • Zu weit gefasste Grundeinstellungen und dauerhaft aktive Warnmodi
  • Regelwerke, die Zugriffe an der Protokollierung vorbei erlauben
  • Technische Kennungen und Systemdienste mit erhöhten Rechten
  • Verwaiste und ungenutzte Kennungen, geteilte Funktionskennungen
  • Anmeldeverfahren: Passwortregeln, Verschlüsselung, MFA, Zertifikate

Systemintegrität

  • Privilegierte Programmbibliotheken: Inventar und Schreibzugriff
  • Eigene Systemerweiterungen und Eingriffe — Herkunft und Nachweis
  • Schutz der zentralen System- und Konfigurationsbestände
  • UNIX-Ebene: Superuser-Rechte, Dateisystemrechte, Sonderattribute
  • Protokollierung: wird sie überhaupt geschrieben, aufbewahrt, ausgewertet
  • Aufgabentrennung zwischen Administration, Systemtechnik und Revision
Grundlage: Der Hersteller sagt zu, dass sich kein nicht-autorisiertes Programm Autorisierung verschaffen kann. Diese Zusage gilt allerdings nur, solange die Installation sie nicht selbst untergräbt. Genau dort setzt die Prüfung an.

Typische Befunde

Was wir fast immer finden

Keine Liste zum Fürchten — eine Liste zum Abarbeiten. Fast alles davon lässt sich ohne Betriebsunterbrechung bereinigen.

  • Zu viele Träger von Sonderrechten, oft an technischen oder geteilten Kennungen
  • Weit gefasste Zugriffsrechte auf Bibliotheken, die es nicht haben dürften
  • Warnmodus als Dauerzustand statt als Migrationshilfe
  • Verwaiste Kennungen, die weiter in Zugriffslisten stehen
  • Geteilte Funktionskennungen ohne personenbezogene Zuordnung
  • Veraltete Verschlüsselungsverfahren für Passwörter
  • Technische Dienste, die alle Prüfungen umgehen — ohne dokumentierte Begründung
  • Unvollständige Protokollierung: Daten werden geschrieben, aber nie ausgewertet

Regulatorischer Rahmen

Vom technischen Befund zum Prüfnachweis

Ein Bericht, der nur Kommandos und Rechte auflistet, hilft der Revision nicht. Wir ordnen jeden Befund dem Anforderungsrahmen zu, in dem Ihr Haus geprüft wird.

  • DORA — seit 17.01.2025 unmittelbar geltend; Zugriffs- und Rechteverwaltung, Protokollierung, Test der operationalen Resilienz
  • NIS2 / BSIG — das deutsche Umsetzungsgesetz ist am 06.12.2025 in Kraft getreten, mit Registrierungs-, Melde- und Risikomanagementpflichten
  • ISO/IEC 27001:2022 — die Übergangsfrist endete am 31.10.2025; nur noch die 2022er-Fassung ist zertifizierungsfähig
  • PCI DSS 4.0.1 — die zunächst zukunftsdatierten Anforderungen sind seit 31.03.2025 verbindlich
  • BSI IT-Grundschutz — der Baustein zu IBM Z samt Umsetzungshinweisen
Praktischer Brückenschlag: Seit Oktober 2025 gibt es einen aktualisierten CIS-Benchmark für z/OS mit Mappings unter anderem auf PCI DSS, DORA und NIST. Damit lässt sich eine technische Prüfung direkt in einen regulatorischen Nachweis überführen — ohne eigene Übersetzungstabelle.

Was Sie erhalten

  • Befundliste mit Risikoeinstufung und Zuordnung zum Anforderungsrahmen
  • Maßnahmenplan, priorisiert nach Wirkung und Aufwand — nicht alphabetisch
  • Management-Zusammenfassung, die auch ohne z/OS-Kenntnisse lesbar ist
  • Vorschlag für einen wiederholbaren Prüfzyklus statt einer Einmalaufnahme

Nach dem Audit

Ein Befund ist erst dann etwas wert, wenn er nicht wiederkommt

Rezertifizierung

Ein wiederholbarer Zyklus: wer bestätigt welche Rechte, in welchem Turnus, mit welchem Nachweis — werkzeuggestützt statt per Tabellenkalkulation.

SIEM-Anbindung

Sicherheitsrelevante Ereignisse in Ihr bestehendes SIEM überführen — mit definierten Anwendungsfällen statt einer Rohdatenflut.

Break-Glass

Notfallkennungen mit definiertem Prozess, automatischer Protokollierung und verbindlicher Nachbereitung — statt dauerhaft vergebener Sonderrechte „für den Fall der Fälle".

Was dieses Audit ist

Eine strukturierte, nachvollziehbare Prüfung von Konfiguration, Berechtigungen und Protokollierung auf Basis der Bordmittel und Ihrer eigenen Betriebsdaten — mit Priorisierung und Umsetzungsvorschlag.

Was es nicht ist

Kein Penetrationstest, keine Produkt-Zertifizierung, keine Rechtsberatung. Wo eine juristische Bewertung nötig ist, sagen wir das — und liefern die technische Grundlage dafür.

Wann wurden Ihre Berechtigungen zuletzt vollständig geprüft?

Wir starten mit einem Blick auf Umfang und Datenlage — daraus ergibt sich, ob eine Vollprüfung oder ein fokussierter Schnitt sinnvoll ist.